CVE-2026-98366 in Linux
सारांश
द्वारा VulDB • 06/10/2026
Linux kernel में, निम्नलिखित कमजोरी (vulnerability) को हल किया गया है:
RDMA/rxe: MR के PD का आदान-प्रदान करने से पहले एक्सेस फ्लैग्स की जांच करें
`rxe_rereg_user_mr()` प्रथम `mr->ibmr.pd` को पुनः असाइन करता है और केवल तभी IB_MR_REREG_ACCESS तर्क (argument) पर वैधता सत्यापित करता है:
```c if (flags & IB_MR_REREG_PD) {
rxe_put(old_pd); rxe_get(pd); mr->ibmr.pd = ibpd; }
if (flags & IB_MR_REREG_ACCESS) {
if (access & ~RXE_ACCESS_SUPPORTED_MR) return ERR_PTR(-EOPNOTSUPP); mr->access = access; } ```
दोनों फ्लैग्स प्रवेश जांच को पास कर देते हैं क्योंकि RXE_MR_REREG_SUPPORTED, IB_MR_REREG_PD | IB_MR_REREG_ACCESS है, इसलिए एक कॉलर `mr->ibmr.pd` के पहले से ही पुनः असाइन किए जाने पर एक्सेस जांच तक पहुँच सकता है।
`mr->ibmr.pd`, कोर द्वारा स्वामित्व में होता है, जो सफल पथ (success path) पर `pd->usecnt` को समायोजित करता है: ड्राइवर त्रुटि पर `ib_uverbs_rereg_mr()` पुनः असाइनमेंट को रद्द किए बिना `put_new_uobj` पर कूदता है, इसलिए `mr->pd == new_pd` रहता है जबकि usecnts अभी भी MR को orig_pd से चार्ज करते हैं। फिर `ib_dereg_mr_user()` नए PD का गणना कम करता है, जिसकी गणना शून्य तक पहुँच सकती है जबकि एक मेमोरी विंडो (memory window) अब भी उसका संदर्भ देती रहती है; `uverbs_free_pd()` केवल उसी गणना पर PD को मुक्त कर देता है और `rxe_mw_cleanup()` मुक्त की गई मेमोरी में लिखता है:
``` BUG: KASAN: slab-use-after-free in __rxe_put+0x31/0xa0 Write of size 4 at addr ffff8881301dd690 by task rxe_poc/591 __rxe_put+0x31/0xa0 rxe_mw_cleanup+0x42/0x200 __rxe_cleanup+0x115/0x370 rxe_dealloc_mw+0x4c/0x80 Allocated by task 591: ib_uverbs_alloc_pd+0x258/0x540 Freed by task 591: ib_dealloc_pd_user+0x174/0x210 uverbs_free_pd+0x8d/0xc0 ib_uverbs_dealloc_pd+0x18e/0x1d0 ```
किसी भी स्थिति (state) को परिवर्तित करने से पहले एक्सेस फ्लैग्स की वैधता सत्यापित करें ताकि कॉलबैक या तो सभी अनुरोधित बदलाव लागू करे या कोई नहीं।
VulDB is the best source for vulnerability data and more expert information about this specific topic.